JP2013524336A - ビヘイビアベース悪性コード診断機能を有する移動通信端末及びその診断方法 - Google Patents

Abstract

移動通信端末は、アプリケーションのインストール及び削除を行い、前記アプリケーションのインストールが完了した場合、インストール完了のメッセージを出力し、前記アプリケーションに対する権限情報の提供を要請された場合、要請された前記権限情報を提供するシステム部と、ビヘイビア情報データが格納されたビヘイビア情報データベースと、前記システム部から前記インストール完了のメッセージを受信した場合、前記システム部に権限情報を要請して前記権限情報の提供を受け、前記権限情報と前記ビヘイビア情報データベースに格納されたビヘイビア情報データとを比較して前記アプリケーションが悪性コードであるか否かを診断する検査部とを含む。
【選択図】図１

Description

本発明は、移動通信端末で悪性コードによる悪性ビヘイビアを診断する技術に関し、特にスマート端末を含む移動通信端末に流布されて実行される悪性コードをビヘイビアベースで検知するのに適したビヘイビアベース悪性コード診断機能を有する移動通信端末及びその診断方法に関する。

近年、移動通信端末は現代人の必需品となっており、移動通信端末を通じて通話及びメッセージの送信、無線インターネットへの接続を可能にすることによって、多様なユビキタス（Ｕｂｉｑｕｉｔｏｕｓ）環境を実現している。更に、携帯電話と個人用携帯情報端末（ＰＤＡ）の長所を結びつけたスマート端末は海外だけでなく、国内でも大いに人気を博している。

しかし、このようなスマート端末の使用増加に伴い、モバイル悪性コードの攻撃手法も更に多様化しつつある。例えば、モバイルウィルス、モバイルワーム、モバイルトロイの木馬、モバイルスパイウェアのような悪性コードが数え切れないほど製作及び流布されており、このような悪性コードの流布は、直ちにスマート端末内に含まれている個人情報の流出と金融取引被害に繋がるおそれがある。

そのため、多様なウィルス診断企業及びセキュリティ研究所などではスマート端末を含む移動通信端末で使用され得る悪性コードを検知するための方法として、シグネチャ（Ｓｉｇｎａｔｕｒｅ）を用いて悪性コードを診断する方法や、移動通信端末の検査対象ファイルでＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）の使用如何を確認して悪性コードを診断する方法を利用している。関連する先行技術が下記の特許文献１に開示されている。

しかし、前記のような従来技術による移動通信端末における悪性コードの診断方法は、あらゆるビヘイビア情報を検知するために、ファイルシステム、プロセス、レジストリ（ｒｅｇｉｓｔｒｙ）などの情報を収集するか、アプリケーションの能力をモニタリングするため、かなりのシステムリソースを用いるようになる。従って、移動通信端末の効率性とリソースの活用性を低下させるという問題があった。

韓国特許出願公開第２００９−０１３０９９０号（公開日：２００９年１２月２８日）

本発明は、上記事情に鑑みてなされたものであって、その目的は、移動通信端末内の悪性コードをビヘイビアベース情報に基づいて診断できる移動通信端末及びこれを用いたビヘイビアベース悪性コードの診断方法を提供することにある。

本発明の第１の側面によれば、ビヘイビアベース悪性コード診断機能を有する移動通信端末であって、アプリケーションのインストール及び削除を行い、前記アプリケーションのインストールが完了した場合、インストール完了のメッセージを出力し、前記アプリケーションに対する権限情報の提供を要請された場合、要請された前記権限情報を提供するシステム部と、ビヘイビア情報データが格納されたビヘイビア情報データベースと、前記システム部から前記インストール完了のメッセージを受信した場合、前記システム部に権限情報を要請して前記権限情報の提供を受け、前記権限情報と前記ビヘイビア情報データベースに格納されたビヘイビア情報データとを比較し、前記アプリケーションが悪性コードであるか否かを診断する検査部とを含む移動通信端末が提供される。

本発明の第２の側面によれば、ビヘイビア情報データが格納されたビヘイビア情報データベースを備える移動通信端末におけるビヘイビアベース悪性コードの診断方法であって、移動通信端末のシステム部で入力されたアプリケーションのインストールを行う段階と、前記アプリケーションのインストールが完了した場合、インストール完了のメッセージを検査部に伝達する段階と、前記検査部で前記インストール完了のメッセージを受信した場合、前記システム部に権限情報を要請する段階と、前記検査部で前記システム部から受信した前記権限情報と前記ビヘイビア情報データベースに格納されたビヘイビア情報データとを比較して前記アプリケーションが悪性コードであるか否かを診断する段階とを含むビヘイビアベース悪性コードの診断方法が提供される。

本発明に第３の側面によれば、ビヘイビア情報データが格納されたビヘイビア情報データベースを備える移動通信端末におけるビヘイビアベース悪性コードの診断方法であって、移動通信端末内のシステム部にアプリケーションがインストールされた場合、検査部で前記システム部からインストール完了のメッセージを受信する段階と、前記検査部で前記システム部に権限情報を要請して伝達を受ける段階と、前記ビヘイビア情報データベースに格納されたビヘイビア情報データと前記権限情報とを比較する段階と、既に設定された悪性コードのビヘイビア基準情報に基づいて前記権限情報に含まれている各ビヘイビア別に点数を測定し、測定された点数が基準点数よりも高い場合、前記アプリケーションを悪性コードと診断する段階とを含むビヘイビアベース悪性コードの診断方法が提供される。

本発明の実施形態による移動通信端末及びこれを用いたビヘイビアベース悪性コードの診断方法によれば、幾何級数的に増加する悪性コードを迅速、且つ、効率的に診断することで、移動通信端末の資源活用性を向上させることができるという効果を奏する。

また、シグネチャ基盤の悪性コード検査で診断できなかった悪意のあるコードもビヘイビアベースの情報を用いた検知が可能であるので、移動通信端末の安定性を高められるという効果を奏する。

本発明の実施形態による移動通信端末の構造を示すブロック図である。 本発明の実施形態による移動通信端末の動作手順を示すフローチャートである。 本発明の実施形態による移動通信端末の制御部内の検査部での動作手順を示すフローチャートである。

本発明の目的及び特徴は、以下のような添付図面と共に提示される後述する実施形態の説明から明らかになる。

本発明の利点及び特徴、そしてそれらを達成する方法は、添付される図面と共に詳細に後述されている実施形態を参照すれば明確になる。本発明の実施形態を説明するにおいて、公知の機能又は構成についての具体的な説明が本発明の要旨を不要に曖昧にするおそれがあると判断される場合には、その詳細な説明を省略する。そして、後述する用語は、本発明の実施形態での機能を考慮して定義された用語であって、これはユーザ、運用者の意図又は慣例などによって変わり得る。従って、その定義は、本明細書全般に渡る内容に基づいて行われるべきである。

以下、添付する図面を参照して本発明の実施形態を詳細に説明する。

図１は、本発明の実施形態による移動通信端末の構造を示すブロック図である。

本発明において、移動通信端末は、通信機能を備えたスマートフォン、モバイルフォン、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、ＰＭＰ（Ｐｏｒｔａｂｌｅ Ｍｅｄｉａ Ｐｌａｙｅｒ）などになり得る。

図１に示すように、移動通信端末は、制御部１００、メモリ部１１０、データ送受信部１２０、入力部１３０、ディスプレイ部１４０を含み、ここで制御部１００は、システム部１０２、検査部１０４を含む。

メモリ部１１０は、ハードディスク、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）又はＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などを含み、移動通信端末の動作プログラムを格納している。動作プログラムは、移動通信端末の内部アプリケーションなどを動作させるように、製造時に予めプログラミング（Ｐｒｏｇｒａｍｉｎｇ）されるソフトウェアを通称し得る。また、メモリ部１１０は、後述するように、悪性コードのビヘイビア情報データが格納されるビヘイビア情報データベース（ＤＢ）１１２を含む。ここで、ビヘイビア情報データは、悪性コードのビヘイビア基準に関する情報及び悪性コードの判断基準となる基準点数を含む。

制御部１００は、メモリ部１１０に格納されている動作プログラムに基づいて移動通信端末の全般的な動作を制御し、データ送受信部１２０、入力部１３０及びディスプレイ部１４０と連結されてデータの入／出力を管理する。

データ送受信部１２０は、備えられたアンテナ（図示せず）を通じて外部無線通信網から受信される音声及び各種マルチメディアデータを制御部１００に伝達し、制御部１００から伝達された各種データを外部無線通信網に送信する。そして、データ送受信部１２０は、近距離通信のために、赤外線通信、ブルートゥース（Ｂｌｕｅｔｏｏｔｈ）（登録商標）及び無線ネットワークプロトコル（例えば、ＩＥＥＥ ８０２.１１系列）などの機能を備え、他の移動通信端末又はコンピュータとデータを送受信できる。

入力部１３０は、ユーザ命令の入力を受け、制御部１００に送信し、キーパッド及びデータ受信インターフェース部を含み得る。ここで、キーパッドは多数の数字キーを備えており、ユーザがキーパッド上の所定のキーを押すとき、該当するキーデータ信号を発生させて制御部１００に出力する。前記のようなキーパッドは、メーカー別、国別に文字配列において差があり得、一部のスマート端末では物理的なキーパッドの代わりに、ソフトウェア方式で必要な都度、表示部上にタッチスクリーン（ｔｏｕｃｈ ｓｃｒｅｅｎ）の形式で表示されるキーパッドを提供することもできる。

そして、データ受信インターフェース部は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）方式を利用でき、ユーザがＵＳＢ方式の有線ケーブルを用いてコンピュータと連動する場合、これを通じてデータを受信できる。

ディスプレイ部１４０は、制御部１００の制御によって移動通信端末で発生する各種情報を表示するものであって、例えば、入力部１３０で発生する入力データ及び制御部１００の各種情報の入力を受け、これをディスプレイする。

一方、移動通信端末で制御部１００内のシステム部１０２は、データ送受信部１２０及び入力部１３０から受信したアプリケーションが移動通信端末内で駆動され得るように、メモリ部１１０にインストールする。このとき、システム部１０２は、まず既に設定されている方式によってアプリケーションのインストール前に該アプリケーションの権限情報を把握してユーザに提示し、ユーザが同意したか否か（例えば、アプリケーションの権限を許容することに同意したか否か）を受信してアプリケーションのインストールを行う。システム部１０２は、ユーザが同意したかどうかによって、該当アプリケーションのビヘイビアを制限できる。

一般に、ユーザは既存のコンピュータと同様に、格別の注意を払わず、権限の許容に同意してアプリケーションをインストールし、それ故、インストールされるアプリケーションが悪性プログラムであるか否かすら確認しない。本発明の検査部１０４は、アプリケーションの権限情報を検査し、該当アプリケーションが悪性か否かを判断する。

ここで、権限情報とは、アプリケーションのインストール時に設定されるアプリケーションのビヘイビアを制限するための要素であって、アプリケーションが端末で動作できる範囲を示す。例えば、アプリケーションがＳＭＳへのアクセス、Ｃａｌｌ Ｌｏｇへのアクセス、インターネットへの接続のようなビヘイビアを必要とするのであれば、ＳＭＳへのアクセス権限、Ｃａｌｌ Ｌｏｇへのアクセス権限、インターネットへの接続権限を有していなければ、このようなビヘイビアが不可能であり、このような権限を権限情報であると見ることができる。権限情報の１つの形態として、例えば、“ＲＥＡＤ＿ＣＯＮＴＡＣＴＳ”、“ＳＥＮＤ＿ＳＭＳ”などが挙げられるが、ここで“ＲＥＡＤ＿ＣＯＮＴＡＣＴＳ”はアプリケーションでユーザの連絡先を読み取れる権限を示し、“ＳＥＮＤ＿ＳＭＳ”はアプリケーションで外部へＳＭＳを送れる権限を示す。

具体的に、システム部１０２は、アプリケーションのインストール完了時のインストール完了のメッセージを検査部１０４に伝達し、インストール完了のメッセージを受信した検査部１０４は、例えば、ｓｙｓｔｅｍ ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を用いて、インストールされたアプリケーションの権限情報をシステム部１０２に要請する要請メッセージを伝達する。システム部１０２は、要請メッセージに該当するアプリケーションの権限情報を検査部１０４に伝達する。

検査部１０４は、受信した権限情報をメモリ部１１０内のビヘイビア情報データベース（ＤＢ）１１２に格納されているビヘイビア情報データと比較し、インストールされたアプリケーションの脅威如何を判断する。

検査部１０４は、権限情報とビヘイビア情報データの比較時、例えば、既に設定されている悪性コードのビヘイビア基準情報に基づいて権限情報の各ビヘイビア別の点数を測定し、点数の合計が基準点数以上となる場合には、該当アプリケーションを悪性コードとして判別できる。或いは、権限情報に悪性コードでしか行なわれない特定ビヘイビアが含まれている場合に、該当アプリケーションを悪性コードとして判別することもできる。検査部１０４は、悪性コードのビヘイビア基準情報に基づいて該当アプリケーションの脅威如何を判断した結果を出力し、出力された情報は、制御部１００の制御下でディスプレイ部１４０に伝達されてユーザに提供される。

これにより、ユーザは移動通信端末に該当アプリケーションの使用の中止及び／又は削除の命令を入力し、移動通信端末をアプリケーションの脅威から防止できるようにする。

図２は、本発明の実施形態による移動通信端末にアプリケーションが入力されるとき、移動通信端末の動作手順を示すフローチャートである。

図２を参照すれば、制御部１００内のシステム部１０２は、２０２段階でデータ送受信部１２０又は入力部１３０を通じて入力されたアプリケーションをメモリ部１１０にインストールする。インストールが完了すれば、２０４段階でシステム部１０２はアプリケーションのインストール完了のメッセージを検査部１０４に伝達する。

２０６段階で検査部１０４はインストールされたアプリケーションに対する権限情報をシステム部１０２に要請し、２０８段階でシステム部１０２は要請されたアプリケーションに対する権限情報を検査部１０４に伝達する。

その後、２１０段階で検査部１０４は伝達を受けた権限情報とビヘイビア情報ＤＢ１１２内に格納されたビヘイビア情報データとの比較を行い、該当アプリケーションが悪性であるか否かを診断する。

そして、２１２段階で検査部１０４はインストールされたアプリケーションが悪性であるか否かを診断した結果を出力し、出力された結果の情報は、ディスプレイ部１４０を通じてユーザに提供される。

図３は、本発明の実施形態による移動通信端末にアプリケーションがインストールされたとき、制御部１００内の検査部１０４における動作手順を示すフローチャートである。

図３を参照すれば、３０２段階で検査部１０４はシステム部１０２から特定のアプリケーションに対するインストール完了のメッセージを受信すれば、３０４段階で該当アプリケーションの権限情報をシステム部１０２に要請する。このとき、権限情報要請はｓｙｓｔｅｍ ＡＰＩメッセージを用いて発送され得る。

３０６段階で検査部１０４は要請した権限情報をシステム部１０２から受信し、３０８段階で権限情報をビヘイビア情報ＤＢ１１２に既に格納されたビヘイビア情報データと比較する。ここで、ビヘイビア情報データは、悪性コードのビヘイビア基準に関する情報及び悪性コードの判断基準となる基準点数を含む。検査部１０４は、３０８段階での比較を通じて３１０段階で既に設定された悪性コードのビヘイビア基準情報に基づいて権限情報に含まれている各ビヘイビア別に診断点数を測定する。その後、３１２段階で診断点数の合計が既に設定された基準点数と同一であるか、低い場合には、検査部１０４はインストールされたアプリケーションを正常コードと診断し、３１４段階に進み、該当アプリケーションが正常なアプリケーションであることを表すメッセージを診断結果として出力する。出力された診断結果は、ディスプレイ部１４０を通じてユーザに提供される。

しかし、３１２段階で診断点数の合計が基準点数よりも高い場合には、検査部１０４は、インストールされたアプリケーションを悪性コードと診断し、３１６段階に進み、診断結果として悪性コード警告のメッセージを出力する。出力された診断結果は、ディスプレイ部１４０を通じてユーザに提供される。その後、検査部１０４は、３１８段階でアプリケーションの中止及び／又は削除の案内メッセージをディスプレイ部１４０を通じて提供できる。ここで、中止及び／又は削除の案内メッセージは、ユーザから悪性コード警告のメッセージに対する確認の入力を受けた場合に出力するか、悪性コード警告のメッセージと共にディスプレイ部１４０を通じて出力してもよい。

次に、３２０段階で入力部１３０は、ユーザからの削除命令の入力を受け、これを検査部１０４に伝達し、検査部１０４はシステム部１０２にアプリケーションの削除を要請する。３２２段階でシステム部１０２は、アプリケーションの削除を行い、実行結果を検査部１０４に伝達する。

以上説明した通り、本発明の実施形態による移動通信端末及びこれを用いたビヘイビアベース悪性コードの診断方法は、スマート端末を含む移動通信端末でビヘイビアベース情報である、アプリケーションの権限情報に基づいて悪性コードを診断することによって、移動通信端末の安定性とリソースの活用を高めることができる。

以上、本発明の好適な実施形態が説明されたが、本発明はこれらの特定の実施形態に限定されず、後続する請求範囲の範疇から逸脱することなく、多様な変更及び変形が行われることができ、それも本発明の範疇内に属すると言える。

Claims (11)

1. ビヘイビアベース悪性コード診断機能を有する移動通信端末であって、
   アプリケーションのインストール及び削除を行い、前記アプリケーションのインストールが完了した場合、インストール完了のメッセージを出力し、前記アプリケーションに対する権限情報の提供を要請された場合、要請された前記権限情報を提供するシステム部と、
   ビヘイビア情報データが格納されたビヘイビア情報データベースと、
   前記システム部から前記インストール完了のメッセージを受信した場合、前記システム部に権限情報を要請して前記権限情報の提供を受け、前記権限情報と前記ビヘイビア情報データベースに格納されたビヘイビア情報データとを比較して前記アプリケーションが悪性コードであるか否かを診断する検査部と
   を含む移動通信端末。
2. 前記ビヘイビア情報データは、既に設定された悪性コードのビヘイビア基準情報及び基準点数を含み、
   前記検査部は、前記悪性コードのビヘイビア基準情報に基づいて前記権限情報に含まれている各ビヘイビア別に点数を測定し、測定された点数の合計が前記基準点数よりも高い場合、前記アプリケーションを悪性コードと診断することを特徴とする請求項１に記載の移動通信端末。
3. 前記検査部は、前記アプリケーションが悪性コードと診断された場合、悪性コード警告のメッセージを出力し、前記アプリケーションに対する削除案内のメッセージを出力することを特徴とする請求項２に記載の移動通信端末。
4. 前記権限情報は、前記アプリケーションのインストール時に設定されるビヘイビア制限情報であることを特徴とする請求項１に記載の移動通信端末。
5. ビヘイビア情報データが格納されたビヘイビア情報データベースを備える移動通信端末におけるビヘイビアベース悪性コードの診断方法であって、
   移動通信端末のシステム部で入力されたアプリケーションのインストールを行う段階と、
   前記アプリケーションのインストールが完了した場合、インストール完了のメッセージを検査部に伝達する段階と、
   前記検査部で前記インストール完了のメッセージを受信した場合、前記システム部に権限情報を要請する段階と、
   前記検査部で前記システム部から受信した前記権限情報と前記ビヘイビア情報データベースに格納されたビヘイビア情報データとを比較して前記アプリケーションが悪性コードであるか否かを診断する段階と
   を含むビヘイビアベース悪性コードの診断方法。
6. 前記ビヘイビア情報データは、既に設定された悪性コードのビヘイビア基準情報及び基準点数を含み、
   前記アプリケーションが悪性コードであるか否かを診断する段階は、
   前記悪性コードのビヘイビア基準情報に基づいて前記権限情報に含まれている各ビヘイビア別に点数を測定する段階と、
   前記測定された点数の合計が前記基準点数よりも高い場合、前記アプリケーションを悪性コードと診断する段階と
   を含むことを特徴とする請求項５に記載のビヘイビアベース悪性コードの診断方法。
7. 前記アプリケーションが悪性コードと診断された場合に、前記悪性コード警告のメッセージを出力し、前記アプリケーションに対する削除案内のメッセージを出力する段階を更に含むことを特徴とする請求項６に記載のビヘイビアベース悪性コードの診断方法。
8. 前記権限情報は、前記アプリケーションのインストール時に設定されるビヘイビア制限情報であることを特徴とする請求項５に記載のビヘイビアベース悪性コードの診断方法。
9. ビヘイビア情報データが格納されたビヘイビア情報データベースを備える移動通信端末におけるビヘイビアベース悪性コードの診断方法であって、
   移動通信端末内のシステム部にアプリケーションがインストールされた場合、検査部で前記システム部からインストール完了のメッセージを受信する段階と、
   前記検査部で前記システム部に権限情報を要請して伝達を受ける段階と、
   前記ビヘイビア情報データベースに格納されたビヘイビア情報データと前記権限情報とを比較する段階と、
   既に設定された悪性コードのビヘイビア基準情報に基づいて前記権限情報に含まれている各ビヘイビア別に点数を測定し、測定された点数が基準点数よりも高い場合、前記アプリケーションを悪性コードと診断する段階と
   を含むビヘイビアベース悪性コードの診断方法。
10. 前記アプリケーションが悪性コードと診断された場合には、悪性コード警告のメッセージを出力し、前記アプリケーションに対する削除案内のメッセージを出力する段階を更に含むことを特徴とする請求項９に記載のビヘイビアベース悪性コードの診断方法。
11. 前記権限情報は、前記アプリケーションのインストール時に設定されるビヘイビア制限情報であることを特徴とする請求項９に記載のビヘイビアベース悪性コードの診断方法。

Images